În data de 12 iunie 2023, pe site-ul fortiquard. com au fost publicate o serie de informații despre mai multe vulnerabilități de severitate ridicată, precum și despre o vulnerabilitate critică ce vizează echipamentele de rețea și soluțiile software Fortinet.

Erori

Vulnerabilitate de tip buffer overflow care permite atacatorilor execuția de cod arbitrar sau comenzi de la distanță, prin request-uri personalizate, configurarea necorespunzătoare a permisiunilor, privilegiilor și accesului în FortiNAC poate rezulta în autentificarea neautorizată a unui atacator, care efectuează un atac DoS asupra dispozitivului, prin renegociere la nivel de client, o vulnerabilitate de control al accesului în FortiNAC poate permite unui atacator autentificat pe interfața administrativă să efectueze apeluri jsp neautorizate prin solicitări HTTP personalizate repreyintă o serie de vulnerabilități identificate.

[eadvert]

De asemenea, specialiștii în cibernetică au identificat o utilizare a caracterelor unui string din zona de input a acestuia, care permite atacatorilor execuția de cod arbitrar sau comenzi de la distanță, prin request-uri personalizate, o restricție improprie a tentativelor de autentificare în FortiSIEM poate permite unui utilizator neautentificat ce are acces la câteva stații de tip endpoint să execute atacuri de tip brute force către respectivele stații.

Vulnerabilitate de tip “cleartext transmission of sensitive information” – permite unui atacator autentificat ce are privilegii de tip superadmin să intercepteze trafic prin intermediul comenzilor de diagnoză CLI, în scopul obținerii cookie-urilor celorlalți administratori, și o vulnerabilitate de deferențiere a pointer-ului NULL, care permite utilizatorilor neautorizați să blocheze procesul SSL-VPN prin request-uri HTTP personalizate sunt alte probleme identificate. .

Echipa DNSC recomandă descărcarea și aplicarea rapidă a ultimelor actualizări de securitate de pe website-ul oficial Fortinet pentru fiecare din soluțiile afectate, pentru a evita exploatarea cu succes a vulnerabilităților menționate.